CEO-Fraud: Warum private digitale Spuren zum Unternehmensrisiko werden

1. Plausibilität ist keine Autorisierung

Eine Anfrage passt zur aktuellen Geschäftsreise. Der Absender kennt die Assistenz und erwähnt einen vertrauten Ansprechpartner. Das kann den Eindruck erzeugen, die Nachricht müsse echt sein. Trotzdem darf daraus keine Ausnahme vom Freigabeprozess entstehen. Der Zusammenhang ist vertraut; die Berechtigung zur verlangten Handlung bleibt ungeprüft.

Das FBI beschreibt Business Email Compromise als Täuschung durch scheinbar bekannte Absender und vermeintlich legitime Anliegen. Zu den empfohlenen Gegenmaßnahmen gehören unabhängige Rückfragen und die Überprüfung geänderter Zahlungsanweisungen. FBI: Business Email Compromise.

Ein wichtiges Organisationsprinzip folgt daraus: Vertraulichkeit darf die Prüfung nicht ausschalten. Legitime sensible Vorgänge brauchen einen diskreten, aber überprüfbaren Prozess. Er sollte bereits bekannt sein, bevor jemand unter Zeitdruck eine Entscheidung treffen muss.

2. Welche Rolle persönliche Spuren spielen

Berufliche Rollen, öffentlich sichtbare Kontaktbeziehungen und private Beiträge können zusammen mehr verraten als beabsichtigt. Das NCSC weist darauf hin, dass Informationen auf Websites und in sozialen Medien gezielte Phishing-Nachrichten überzeugender machen können. Es empfiehlt, unnötige Veröffentlichungen zu prüfen und auch Informationen bei Partnern oder Dienstleistern zu berücksichtigen. NCSC: Phishing-Schutz für Organisationen.

Es geht dabei nicht darum, jedes berufliche Profil zu löschen. Öffentliches Auftreten gehört zu vielen Funktionen. Die praktische Frage lautet: Welche Angaben erfüllen einen nachvollziehbaren Zweck, und welche schaffen lediglich zusätzliche Verknüpfungen? Eine geschäftliche Kontaktadresse kann sinnvoll sein, während ein privater Kontaktweg denselben Zweck häufig nicht erfüllen muss.

Für ein Führungsteam lohnt eine gemeinsame Sicht auf Unternehmenswebsite, öffentliche Profile und bekannte private Überschneidungen. Die Betrachtung braucht klare Berechtigung und einen begrenzten Zweck. Sie ist keine Einladung, Familienmitglieder oder Beschäftigte heimlich zu untersuchen.

3. Ein überprüfbarer Ablauf für sensible Anfragen

Die folgende Struktur ist eine praktische Arbeitshilfe für die Abstimmung zwischen Leitung, Assistenz, Finanzen und IT. Sie ersetzt keine bestehende Zahlungsrichtlinie, sondern hilft, deren Ausnahmen sichtbar zu machen.

1. Anliegen benennen: Was soll konkret veranlasst werden – Zahlung, Datenfreigabe oder Änderung eines Kontaktwegs?
2. Bekannten Kanal verwenden: Die Rückfrage erfolgt über bereits hinterlegte Kontaktdaten, nicht über neue Angaben in der fraglichen Nachricht.
3. Zweite Freigabe einholen: Kritische Vorgänge erhalten die vereinbarte zusätzliche Prüfung. Rang oder Dringlichkeit ersetzen sie nicht.
4. Ergebnis dokumentieren: Wer hat welche Handlung über welchen Kanal bestätigt?
5. Unklarheit eskalieren: Bleibt die Bestätigung aus, wird der Vorgang pausiert und an die zuständige Stelle gegeben.

Ein guter Prozess funktioniert auch bei Abwesenheit. Definieren Sie deshalb Vertretungen und eine erreichbare Eskalationsstelle. Ein Ablauf, der nur dann praktikabel ist, wenn alle gleichzeitig im Büro sind, wird im Alltag leicht umgangen.

4. Führung muss Rückfragen ausdrücklich erlauben

Ein technisch sauberer Prozess verliert an Wirkung, wenn Beschäftigte befürchten, durch Nachfragen illoyal oder langsam zu erscheinen. Das NCSC nennt im Board Toolkit genau diese Hemmschwelle gegenüber leitenden Personen als ausnutzbares Risiko. Klare Meldestrukturen und eine unterstützende Sicherheitskultur helfen bei der Begrenzung. NCSC: Cyber Security Toolkit for Boards.

Eine einfache interne Botschaft kann sein: „Bei ungewöhnlichen Zahlungen erwarte ich die unabhängige Prüfung – auch bei einer Nachricht in meinem Namen.“ Dazu gehört, korrektes Nachfragen nicht im Nachhinein zu bestrafen. Führungskräfte sollten dieselben Abläufe vorleben, die sie von ihren Teams verlangen.

5. Bei einem Verdacht schnell und geordnet reagieren

Wurde bereits eine Zahlung ausgelöst, kontaktieren Sie unmittelbar das zuständige Finanzinstitut und den internen Vorfallkontakt. Das FBI empfiehlt bei BEC-Schäden die schnelle Kontaktaufnahme mit dem Geldinstitut. Sichern Sie außerdem die vorhandenen Nachrichten und dokumentieren Sie Entscheidungen, ohne unnötig weitere Personen in den sensiblen Verteiler aufzunehmen.

Danach sollten Prozess und persönliche Exposition gemeinsam betrachtet werden: Wo war die Anfrage überzeugend? Welche Kontrolle fehlte? Welche öffentlich sichtbare Information war unnötig? Der Überblick zu Digital Executive Protection erklärt die Ergänzung zur Unternehmens-IT. Wie Preemity Führungskräfte und deren Umfeld unterstützt, zeigt Schutz vor Identitätsmissbrauch im Unternehmen: Bewertung der Informationen, die Täuschung begünstigen, Freigabeprozesse und Reaktionsabläufe. Die Ausgangslage dafür liefert eine Persönliche digitale Risikoanalyse.